Claude та Codex запустили чужий код у мережах Fortune 500 через файли llms.txt

Ізраїльські фахівці з кібербезпеки просканували 6214 активних доменів оборонних підрядників, технологічних гігантів та компаній зі списку Fortune 500. Об'єктом аналізу стали файли llms.txt та llms-full.txt — новий вебстандарт машиночитних інструкцій, розроблений для орієнтування штучного інтелекту на сайтах.

Серед 8265 виявлених файлів 120 містили посилання на незареєстровані бібліотеки в репозиторіях PyPI чи npm, а також на прострочені домени. Дослідники зареєстрували кілька вільних назв і завантажили тестові пакети з функцією зворотного зв'язку. Вже протягом першої години машини всередині корпоративних мереж Fortune 500 завантажили тестовий код і надіслали відповідь.

Аналіз ланцюжка батьківських процесів підтвердив, що команди виконували автономні AI-помічники програмістів, зокрема Claude від Anthropic, Codex від OpenAI та Hermes від Nous Research. Отримуючи файл документації з офіційного домену, агент вважає кожну інструкцію непорушною істиною та відправляє команди в термінал без перевірки простору імен.

Корпоративні системи моніторингу не зреагували, оскільки виклик менеджера пакунків через AI-агента виглядає як звичайна робота штатного розробника. Реальний прецедент зафіксували на сервісі Clerk: у файлі інструкцій містилася команда на запуск незареєстрованого пакета, який зловмисники встигли зайняти до внесення виправлень компанією.

AI-агенти стерли межу між читанням інструкцій і прямим виконанням команд у консолі, перетворивши звичайні друкарські помилки в документації на прямий доступ до корпоративної інфраструктури.

Джерело: Ars Technica